[M$] Безопасная загрузка

Проблему усугубляет три нюанса:

Сертификация оборудования на совместимость с Windows 8 не требует, чтобы пользователю была предоставлена возможность отключения опции безопасной загрузки. Некоторые производители уже подтвердили представителям компании RedHat, что не собираются реализовывать возможность отключения безопасной загрузки. Так как нет централизованного органа сертификации для формирования ключей, компания Microsoft может потребовать у производителей оборудования использовать её ключи. Но если система будет укомплектована только ключами Microsoft, то она сможет загружать только операционные системы Microsoft. Если выдачей ключей будет заниматься производитель, то разработчикам дистрибутивов придется отдельно контактировать с каждым производителем для обеспечения загрузки их систем. Даже если ключи для формирования цифровой подписи будут предоставлены всем желающим, подписывание загрузчика Grub2 невозможно, так как это приведет к нарушению лицензии GPLv3 (запрет на тивоизацию).

http://www.opennet.ru/opennews/art.shtml?num=32065

>подписывание загрузчика Grub2 невозможно, так как это приведет к нарушению лицензии GPLv3 (запрет на тивоизацию)

а форкнуть граб (или любой другой загрузчик) и подписать его, не? или переписать гпл под отдельно взятый случай? всё проще, чем петицию собирать и бороться с кровавым захватчиком™

алсо, неужели всем так нужна вин8, в которой стандартные проги просто не запустятся? мне кажется, это фейл. то есть, я не спорю, на рынке будет какой-нибудь 1% материнок «ready for analslave8», но будет и 99% обычных, потому как половина виндоюзеров до сих пор ХР гоняет

Ну это пока оно не вышло...

>а форкнуть граб

лицензии GPLv3

И под какой лицензией должен оказаться граб после форка?

Ну для dvd же не сделали ничего подобного, сделали только libdvdcss с сомнительным статусом. И тут видимо так же будет.

Вроде Gplv2 не запрещает подписывание.

Windows 7/8 не нужны. Windows XP всем хватает.

>может я конечно слоупок, и всё проспал, но не является красивым и простым решением подписывание одного лишь загрузчик

Писали, что весь код, который в kernel-space, при включенном secure boot, должен быть подписан. А иначе возможность использования загрузчика, который сможет грузить что угодно, будет равносильна возможности отключения secure boot в настройках UEFI. И всё равно от каждого производителя материнской платы будет требоваться, чтобы он добавил ключ, которым подписан загрузчик. Ведь микрософтовский секретный ключ нам никто не даст.

>лицензии GPLv3

> прочитал тут давеча топик на хабре (http://habrahabr.ru/blogs/nix/130671/ ), посвященный вышеописанному явлению. суть топика сводится к тому, чтоб подписать петицию миллионом человек и остановить кровавого захватчика.

Те кто такие новости сочиняет как будто их антипиаром занимаются. Вот прочитает человек далековатый от ИТ заголовок «Защитите ваше право устанавливать бесплатное программное обеспечение» и чего он подумает?

Наверняка, что какие-то придурки чего-то требуют идиотского от серьезных людей.

Меж тем страница с петицией либо 404, либо «We have technical problems»

> Писали, что весь код, который в kernel-space, при включенном secure boot, должен быть подписан. А иначе возможность использования загрузчика, который сможет грузить что угодно, будет равносильна возможности отключения secure boot в настройках UEFI.

Не вижу как это можно проконтролировать со стороны UEFI. Или тут смысл в том, что они не станут подписывать загрузчик, который не проверяет в свою очередь подпись ядра, а ядро опять в свою очередь должно будет проверять подпись любой программы, запускаемой от root?

>микрософтовский секретный ключ нам никто не даст.

Расковыряют...

Не вижу как это можно проконтролировать со стороны UEFI. Или тут смысл в том, что они не станут подписывать загрузчик, который не проверяет в свою очередь подпись ядра, а ядро опять в свою очередь должно будет проверять подпись любой программы, запускаемой от root?

На сколько я понял винда именно так и будет работать. Т.е. там цепочка загрузчик->ядро->дрова и подсистемы. Каждый проверяет того кого запускает. В w7 уже была проверка дров, которую только в дебаг режиме можно выключить, а теперь контроль будет от старта. Вообще идея хорошая, но нужна какая-то реализация заноса туда собственных ключей. Грубо говоря черз usb брелок какой или ещё как.

>ядро опять в свою очередь должно будет проверять подпись любой программы, запускаемой от root?

Достаточно драйверов. А неподписанный драйвер без танца с бубном венда не загружает уже давно.

>Или тут смысл в том, что они не станут подписывать загрузчик, который не проверяет в свою очередь подпись ядра, а ядро опять в свою очередь должно будет проверять подпись любой программы, запускаемой от root?

Не любой программы от root, а именно модуля ядра. В Windows это уже давно (сделано для обеспечения функционирования DeRьMa для видео и аудио).

>Расковыряют...

Как? Если я правильно догадываюсь, в материнской плате будет храниться открытый ключ, для проверки подписи. А секретный, для подписывания — только в подвалах микрософта. Поэтому тут либо перебор (а для того, чтобы сделать это в более-менее разумное время, потребуются гигантские вычислительные мощности, и то после подбора m$ сменит ключ), либо штурм микрософта.

> На сколько я понял винда именно так и будет работать. Т.е. там цепочка загрузчик->ядро->дрова и подсистемы. Каждый проверяет того кого запускает. В w7 уже была проверка дров, которую только в дебаг режиме можно выключить, а теперь контроль будет от старта. Вообще идея хорошая, но нужна какая-то реализация заноса туда собственных ключей. Грубо говоря черз usb брелок какой или ещё как.

Идея хорошая, когда она не навязывается. То есть, если MS хочет аппаратно защищать венду, пусть сама такие девайсы и выпускает, от ключей и чего угодно.

Но вообще движуха в сторону тотального огораживания такая, что ее скорее всего продавят в итоге. Если такая огороженная w8 широко распространится следующим шагом будут требования подключать к интернету только огороженные девайсы. Чтобы значит пользователь защищен был :=/

> Не любой программы от root, а именно модуля ядра. В Windows это уже давно (сделано для обеспечения функционирования DeRьMa для видео и аудио).

Потому что в винде админ фактически не совсем админ. В Linux же у рута принципиально есть возможность писать в любое место.

Но кстати, даже в винде, как они сделали это ограничение для для DeRьMa для админа с допуском в ring-0 , без использования гипервизора?

>Потому что в винде админ фактически не совсем админ. В Linux же у рута принципиально есть возможность писать в любое место.

Ну писать в любое место файловой системы и и заставить ядро динамически подгрузить модуль — это две большие разницы. Можно убрать из ядра интерфейс, по которому insmod и modprobe общаются с ядром — и всё.

Я имел ввиду после форка.

Советую почитать первоисточники.

Если такая огороженная w8 широко распространится следующим шагом будут требования подключать к интернету только огороженные девайсы.

Это технически невозможно сейчас, да и бизнес не согласится. Все таки винда в тяжелом интерпрайзе имеет небольшой вес. Там больше IBM центр притяжения, а они последние лет 10 к опенсорсу весьма расположены.

Тивоизация (от англ. Tivoization) — практика создания аппаратно-программных систем, у которых ПО имеет копилефт-лицензию, но аппаратное обеспечение не даёт запускать модифицированную версию ПО (например, с помощью цифровой подписи). Тивоизация тесно связана с известным приёмом производителей цифровой техники — делать дешёвые и дорогие модели одного и того же устройства, отличающиеся лишь программно, а также с техническими средствами защиты авторских прав контента на тивоизированном устройстве, которые в случае со свободной прошивкой обойти легче.

Название происходит от цифрового видеоплеера TiVo, который управляется операционной системой на ядре Linux. Стоит заметить, что лицензия GNU GPL версии 2, под которой создаётся ядро, НЕ требует, чтобы устройство поддерживало изменённые версии программы.Одна из целей GPLv3 — закрыть подобную лазейку, то есть, пресечь тивоизацию. [\quote]

Вот я бы такую фичу хотел бы в линухе иметь. Сейчас софт подписывается на уровне установочных пакетов, а если бы ещё подписывались бинарники и подпись бы проверялась на старте, а ещё selinux во все поля, да запрет на рута.... Это был бы идеальный сервак. А то щас только и занимаешься, что борьбой с базалаберностью разработчиков дистрибов: nosuid,noexec,nodev на /tmp/, home, /var/spool и пр. (почему, блин, нельзя из коробки то сделать?),чруты или lxc для демонов - пока все настроишь семь потов сойдет.

Ты хочешь форкнуть GPL3 проект как GPL2? Силой мысли?

Так GPL разных версий же совместимы.

Наверное.

DPL обычно это GPL X only или GPL X or later. Нигде не сказано про старшие в младшие. А уж попросту из имеющей большие ограничения в лицензию, где их меньше… это надо правами на исходники владеть :}

>GPL обычно

Fixed.

Ну значит в задницу grub, будем использовать extlinux какой-нибудь.

Современные линупсоиды так печальны :}

Уже обсуждалось же по поводу лицензии ядра. Вот табличка совместимости всяких GPL-ей

Говори за себя.

штурм микрософта.

Первая годная мысль в треде.

>Если такая огороженная w8 широко распространится

для начала нужен спрос. он есть?

>как они сделали это ограничение для для DeRьMa для админа с допуском в ring-0 , без использования гипервизора?

через ring -2?

Ты прочитал не те первоисточники.
*Подсказка: читай текст GPL

>для начала нужен спрос. он есть?

спрос формируется маркетингом, а на него m$ денег жалеть не станет.

на висту как-то не сформировался

> Это технически невозможно сейчас, да и бизнес не согласится. Все таки винда в тяжелом интерпрайзе имеет небольшой вес. Там больше IBM центр притяжения, а они последние лет 10 к опенсорсу весьма расположены. 1

А при чем тут бизнес? Это для населения могут ввести. Косвенно даже сейчас в договоре с провайдером что-то есть насчет подключения несертифицированного оборудования.

> Windows 7/8/XP не нужны. GNU/Linux, *BSD и ReactOS всем хватает.
fixed

> В Linux же у рута принципиально есть возможность писать в любое место.

Если изменишь загрузчик, то UEFI его не загрузит, изменишь ядро — загрузчик его не загрузит, изменишь модуль ядра — ядро его не примет... как-то так